CVE-2025-8110 – PoC de RCE para Gogs ≤ 0.13.3

Prueba de concepto para CVE-2025-8110, una escritura arbitraria de archivos autenticada en Gogs ≤ 0.13.3 causada por un manejo incorrecto de enlaces simbólicos en la API PutContents.

Un usuario autenticado puede crear un commit con un enlace simbólico que apunte a .git/config, usar la API para sobrescribirlo e inyectar un sshCommand malicioso, lo que resulta en ejecución remota de código.

Aviso legal

Solo para fines educativos y pruebas autorizadas. No lo use contra sistemas que no posea o para los que no tenga permiso explícito de prueba.

Uso

chmod +x poc.sh

./poc.sh \
  -i <target-ip-or-domain> \
  -P <port> \
  -u <username> \
  -p <password> \
  -t <api-token> \
  -c "<command-to-execute>" \
  [-r <repository-name>]   # optional, default: CVE-2025-8110

Ejemplo